[ETTO 21/22] 위험성평가 자체에도 효율성과 철저함의 상충이 있다 | 위험성평가 ETTO

ETTO 원리 현장 연재 21/22 · 위험성평가의 범위, 가정, 수치와 재검토 기준

설비 개조를 앞두고 위험성평가 회의가 열렸다. 도면은 여러 장이고 작업은 기계, 전기, 배관과 시운전으로 이어진다. 참석자는 제한된 회의시간 안에 유해·위험요인을 찾고 대책과 담당자를 정해야 한다. 모든 운전상태와 작업자의 가능한 조정을 끝까지 검토하려면 일정이 밀린다. 반대로 익숙한 체크리스트와 위험도 숫자만 채우면 현장에서 실제로 달라진 조건을 놓칠 수 있다.

위험성평가 ETTO는 이 선택을 평가 대상 밖에 두지 않는다. 위험성평가를 하는 사람도 시간, 정보, 예산과 분석도구의 한계를 받는다. 그래서 현실을 나누고, 일부 관계를 고정하며, 가능성과 결과의 크기를 등급이나 수치로 표현한다. 이런 단순화 덕분에 평가를 끝내고 조치를 시작할 수 있다. 동시에 무엇을 줄였는지 보이지 않으면 평가서의 깔끔함이 실제 안전을 대신하게 된다.

Erik Hollnagel은 위험성평가가 효율성과 철저함 사이의 절충을 피할 수 없다고 설명한다. 문제는 절충의 존재가 아니라 그 방식이다. 이 글은 특정 평가기법을 폐기하자는 주장이 아니다. 사건나무, 체크리스트, 위험도 행렬과 정량값이 무엇을 빠르게 보여 주고 무엇을 가리는지 구분한 뒤, 빠진 부분을 현장 관찰과 재검토로 보완하는 방법을 다룬다.

위험성평가 ETTO는 평가 자체를 평가한다

위험성평가는 앞으로 일어날 수 있는 손실을 미리 생각하고 통제를 정하는 활동이다. 아직 일어나지 않은 일을 다루기 때문에 관찰할 수 있는 사실과 추정이 한 문서 안에 섞인다. 설비 사양, 작업순서와 과거 기록은 확인할 수 있지만, 변경 뒤 사람들이 어떻게 조정할지와 여러 기능이 같은 시간에 어떻게 만날지는 완전히 알기 어렵다. 평가자는 빈칸을 그대로 둘지, 과거 자료나 전문가 판단으로 채울지 정한다.

이 판단에도 마감과 비용이 있다. 생산 재개 전에 평가를 끝내야 하고, 모든 분야의 사람을 계속 회의에 붙잡아 둘 수도 없다. 자료를 더 모으면 철저함은 높아질 수 있으나 조치가 늦어진다. 빨리 결론을 내리면 위험 통제를 앞당길 수 있으나 빠진 관계가 남는다. 평가자는 분석 대상과 동시에 자신의 분석 방식에서도 ETTO를 한다.

평가가 현실을 줄여야 실제 조치를 정할 수 있다

복잡한 사업장을 있는 그대로 한 번에 계산할 수는 없다. 위험성평가는 공정을 작업단계로 나누고, 유해·위험요인을 이름 붙이며, 발생 가능성과 결과의 크기를 일정한 기준으로 비교한다. 설비가 정상인지 비정상인지, 방호기능이 성공했는지 실패했는지 구분하기도 한다. 이렇게 나누지 않으면 책임자와 조치기한을 정하기 어렵고, 제한된 자원을 어느 위험부터 줄일지 합의하기도 어렵다.

문제는 분류가 현실보다 선명하다는 점이다. 밸브는 열림과 닫힘 사이의 상태를 가질 수 있고, 인계는 완료와 미완료 사이에서 정보의 깊이가 달라진다. 작업자는 절차를 지켰거나 어긴 두 상태만 갖지 않는다. 상황에 맞게 순서를 바꾸고, 동료의 확인을 기대하며, 설비 신호의 우선순위를 조정한다. 평가표의 칸은 이런 연속적인 변동을 짧은 문장으로 압축한다.

단순화는 결함이 아니라 방법이 작동하는 조건이다

확률적 위험성평가는 복잡한 기술시스템을 사건의 분기와 고장 조합으로 나타낸다. Hollnagel이 지적한 효율은 바로 이 단순화에서 나온다. 성공과 실패를 분명히 나누고, 원인에서 결과로 이어지는 경로를 구성하면 많은 정보를 다룰 수 있는 형태로 바꿀 수 있다. 중요한 방호기능이 어느 경로에서 필요한지, 어떤 실패 조합이 결과에 크게 기여하는지 비교하기에도 좋다.

그 대가도 있다. 사람과 조직의 성과는 늘 성공과 실패의 두 상태로 나뉘지 않고, 여러 조정이 고정된 순서로 이어지지도 않는다. 일정 변경이 인원 배치와 자재 대체, 교대 인계에 동시에 영향을 줄 수 있다. 각 조정은 따로 보면 작은데 같은 시점에 만나며 결과가 커지기도 한다. 나무 모양의 경로가 이런 새 결합을 자동으로 보여 주지는 않는다.

도구가 틀렸다고 결론 내릴 필요는 없다. 도구가 잘 보는 질문과 약한 질문을 구분하면 된다. 설비 방호의 기능과 알려진 고장경로는 정교하게 분석하되, 실제 업무가 모델과 다르게 이어지는 부분은 현장 관찰, 변경 검토와 인터뷰 자료로 보충한다. 하나의 도구에 모든 철저함을 요구하지 않고 서로 다른 관찰 방법을 연결하는 편이 현실적이다.

포함·제외·가정이 평가의 결론을 바꾼다

평가 범위에는 시작점과 끝점이 있다. 정비 작업만 평가할지, 정지와 격리, 시운전과 정상운전 인계까지 포함할지에 따라 위험 시나리오가 달라진다. 협력업체가 수행하는 양중을 별도 평가서로 넘기면 문서는 짧아지지만, 자재 반입과 설비 정비가 같은 통로를 쓰는 조건이 두 문서 사이에서 사라질 수 있다. 범위 경계는 문서 편의가 아니라 실제 인터페이스를 기준으로 확인해야 한다.

가정도 결론을 움직인다. 필요한 숙련자가 배치된다고 가정했는지, 최신 도면이 현장에 있다고 봤는지, 방호장치가 정상 작동한다고 놓았는지에 따라 위험도가 바뀐다. 가정은 거짓이라는 뜻이 아니다. 평가 시점에 아직 확인하지 못했거나 일정 기간 유지될 것으로 기대한 조건이다. 그래서 가정에는 확인 방법과 책임자, 유효기간이 필요하다.

제외 항목은 빈칸으로 두지 않는다. 왜 제외했는지, 어느 문서나 역할이 다루는지, 두 평가의 경계를 누가 확인하는지 적는다. 다른 팀이 평가한다고 썼다면 실제 결과를 받아 연결해야 한다. “별도 관리”라는 말만 남으면 누구도 결합 위험을 보지 않는 상태가 생길 수 있다.

보수기준은 부족한 철저함을 어떻게 보완하는가

원문은 모든 자료와 관계를 충분히 정량화하기 어렵기 때문에 위험성평가가 보수적인 수용기준이나 안전여유로 부족한 철저함을 보완하는 경우를 설명한다. 정확한 값이 불확실할 때 더 불리한 조건을 택하거나, 방호능력과 운전한계 사이에 여유를 두는 방식이다. 이는 아무 근거 없이 가장 큰 값을 쓰는 일이 아니라, 어떤 불확실성을 어느 방향의 여유로 다뤘는지 설명하는 판단이다.

보수성에도 비용이 따른다. 지나치게 넓은 정지 기준이나 모든 작업에 같은 승인단계를 두면 정상 운영이 어려워지고 우회가 늘 수 있다. 현장은 반복되는 경보를 덜 중요하게 여기거나, 형식적인 확인을 한꺼번에 처리할 수 있다. 평가 단계의 철저함 부족을 운영 단계의 큰 여유로만 메우면 장기 효율이 낮아질 수 있다는 지적을 여기서 읽을 수 있다.

안전여유를 사용할 때는 대상, 근거와 종료조건을 분리해 기록한다. 자료가 부족해 임시로 높인 여유인지, 설계수명 동안 유지할 기준인지 구분한다. 운영자료가 쌓였을 때 여유를 다시 검토할지 정하고, 여유를 줄이는 결정에도 같은 수준의 근거와 승인을 요구한다.

짧은 평가시간이 장기 운영비용을 키울 수 있다

당장 회의를 끝내고 공사를 시작하는 것은 단기 효율을 높인다. 그러나 중요한 상호작용을 놓치면 운전 단계에서 추가 감시, 잦은 정지와 반복 점검이 필요해질 수 있다. 평가에서 확인하지 못한 인터페이스를 현장 작업자가 매번 조정하게 되면 생산속도도 일정하지 않다. 앞에서 아낀 시간이 뒤에서 더 큰 확인 비용으로 돌아온다.

반대로 모든 가능성을 다 분석할 때까지 시작을 미루는 것도 답은 아니다. 필요한 통제가 늦어지고 분석자료가 현실 변화보다 뒤처질 수 있다. 중요한 것은 철저함을 같은 깊이로 배분하지 않는 일이다. 결과가 중대하고 변화가 잦으며 여러 부서의 기능이 연결되는 구간에는 더 많은 시간을 쓴다. 안정된 반복작업은 표준자료와 현장 표본 관찰로 확인한다.

HRA는 왜 사람의 행동을 분석 경로에 넣었는가

기술설비만으로 사고 경로를 설명하기 어렵다는 경험이 쌓이면서 확률적 위험성평가에는 사람의 행동을 다루는 인적신뢰도분석이 더해졌다. 사람의 조작이나 확인을 사건의 분기로 넣고, 수행 실패 가능성을 계산하려는 접근이다. 기술 경로와 사람의 개입을 같은 분석 틀 안에서 볼 수 있다는 점에서 실무적 장점이 있다. 기존 분석을 버리지 않고 시급한 문제를 빨리 포함할 수 있었다.

Hollnagel은 이 선택도 ETTO로 본다. 사람의 복잡한 수행을 기존 사건나무의 노드로 넣으면 분석을 빠르게 확장할 수 있지만, 사람이 왜 그렇게 행동했는지와 상황에 맞춘 조정을 충분히 표현하기 어렵다. 작업조건이 바뀌면 같은 행동의 의미도 달라지는데, 고정된 실패확률은 그 차이를 작게 만들 수 있다.

인적신뢰도분석을 사용한다면 실패확률만 보고 끝내지 않는다. 시간 압박, 정보의 표시 방식, 훈련, 피로, 동시 업무, 팀 의사소통과 조직의 목표를 함께 기록한다. 수치는 조건이 비슷할 때만 비교 가능하며, 조건이 달라졌다면 다시 평가해야 한다.

사람 행동을 오류 확률로만 줄이면 무엇을 놓치는가

사람의 행동을 한 개의 실패확률로 표현하면 설비 실패와 계산상 결합하기 쉽다. 하지만 “확인을 하지 않음”이라는 결과만으로는 개선 위치를 찾기 어렵다. 확인 화면이 여러 장에 흩어졌는지, 경보가 같은 색으로 표시됐는지, 교대시간과 시운전이 겹쳤는지에 따라 필요한 대책이 달라진다. 교육을 추가하는 방법과 인터페이스를 바꾸는 방법의 효과도 같지 않다.

영국 HSE의 인적요인 안내는 행동에 영향을 주는 과업과 장비·환경, 개인, 조직의 요소를 함께 보며 이들을 고립해서 다루면 개입이 효과적이지 않을 수 있다고 설명한다. 이 관점은 위험성평가에서 사람을 마지막 실패지점으로만 넣지 말아야 할 이유를 분명하게 보여 준다.

평가서에는 예상 행동뿐 아니라 그 행동을 가능하게 하는 조건을 쓴다. 누가 어떤 정보를 언제 받아야 하는지, 동시 업무가 생길 때 우선순위를 어떻게 정하는지, 이상을 발견하면 작업을 중지하거나 도움을 요청할 수 있는지를 확인한다. 사람의 신뢰도를 요구하기 전에 신뢰할 수 있는 작업조건을 설계해야 한다.

사후 결과를 알고 나면 효율 선택이 인적오류로 보인다

작업이 정상적으로 끝났을 때는 순서를 조정하고 일부 확인을 다음 단계로 넘긴 행동이 능숙한 대응으로 평가되기도 한다. 같은 선택 뒤에 문제가 생기면 그 행동은 쉽게 인적오류라는 이름을 얻는다. 결과를 알고 난 뒤에는 당시 정보로도 나쁜 결과를 예상할 수 있었다고 느끼기 때문이다. 이 차이는 사고 뒤 평가자료를 갱신할 때 특히 조심해야 한다.

인적오류라는 한 단어는 설명을 빠르게 끝낸다. 그러나 너무 효율적인 설명이 되어 당시의 목표 충돌과 불확실성을 지운다. 작업자는 어떤 신호를 보았고 무엇을 정상으로 이해했는지, 어느 확인을 동료나 자동화가 맡는다고 기대했는지 복원해야 한다. 권한과 절차 위반의 책임 판단은 별도로 하되, 재발방지 분석은 조건과 상호작용까지 이어간다.

정상적으로 끝난 비슷한 작업도 함께 본다. 사람들이 같은 생략을 했는데 문제가 없었던 이유, 누군가 추가 확인을 한 계기, 설비가 변동을 흡수한 방식이 비교자료가 된다. 실패 사례만 보면 일상적으로 작동하는 회복 수단을 놓치고 또 다른 경고문만 추가할 수 있다.

임상시험 사례는 필요한 관찰시간의 문제를 보여 준다

원문은 신약 임상시험을 위험성평가의 ETTO가 선명하게 보이는 사례로 든다. 시험은 의도한 효과와 해로운 부작용을 확인할 만큼 길어야 한다. 동시에 시험에는 비용이 들고, 승인이 늦어지면 치료를 기다리는 환자와 개발 조직 모두 영향을 받는다. 충분히 오래 관찰하라는 요구와 필요한 것보다 오래 끌지 말라는 요구가 동시에 존재한다.

이 사례의 목적은 특정 규제기관이나 승인전략을 평가하는 데 있지 않다. 어느 기간이 충분한지는 약의 작용, 대상 질환과 부작용이 나타나는 시간에 따라 달라진다. 짧은 관찰은 늦게 나타나는 효과나 중단 뒤 증상을 놓칠 수 있고, 긴 관찰은 필요한 사용을 늦춘다. 평가기간도 중립적인 숫자가 아니라 효율성과 철저함을 조정한 결과다.

산업현장에서도 같은 질문을 할 수 있다. 설비 개조 뒤 시운전을 몇 회 해야 안정성을 판단할 수 있는가, 작업방법 변경 뒤 어느 기간 동안 이상 징후를 관찰할 것인가, 교대와 계절 조건을 모두 보려면 어떤 표본이 필요한가를 정한다. 기간은 관행으로 복사하지 말고 위험이 나타나는 시간특성과 연결해야 한다.

수치 하나가 비교와 우선순위를 빠르게 만든다

위험도를 숫자나 등급으로 나타내면 서로 다른 항목을 한 화면에서 비교할 수 있다. 발생 가능성과 결과의 크기를 조합해 높은 위험부터 자원을 배치하고, 조치 전후 변화를 추적할 수 있다. 여러 부서가 같은 언어로 우선순위를 논의한다는 장점도 있다. 수백 개 항목의 서술을 매번 다시 읽는 것보다 결정이 빠르다.

이 효율은 숫자가 만들어진 과정을 생략할 때 커진다. 같은 점수라도 한 항목은 충분한 운전기록에서 나왔고, 다른 항목은 유사 설비와 담당자의 판단에 의존할 수 있다. 결과의 크기도 인명피해, 생산중단과 환경영향을 어떤 기준으로 합쳤는지에 따라 달라진다. 숫자만 정렬하면 근거의 질과 불확실성이 같은 것처럼 보인다.

위험도 목록에는 점수와 함께 근거 유형을 표시한다. 실측, 사고·고장 기록, 유사 사례, 모델, 전문가 판단과 미확인을 구분하고 자료 시점을 적는다. 같은 점수 안에서는 근거가 약하거나 변화가 큰 항목을 먼저 검토한다. 숫자의 정밀도보다 판단의 추적 가능성이 더 중요할 때가 많다.

숫자는 조건을 잃으면 정밀해 보여도 뜻이 약해진다

소수점이 붙은 확률은 정성 등급보다 정밀해 보인다. 그러나 값이 의미 있으려면 대상 시스템, 운전상태, 기간, 노출집단과 자료의 범위를 알아야 한다. 서로 다른 조건에서 산출한 두 값을 비율로 비교하면 계산은 맞아도 판단은 틀릴 수 있다. 모델이 포함하지 않은 결합이나 드문 변화는 숫자 밖에 남는다.

원문은 정량값이 위험 비교를 매우 빠르게 하지만, 상세한 맥락을 이해하지 않으면 오해를 부를 수 있다고 설명한다. 이 지적은 정량평가를 버리라는 말이 아니다. 숫자 옆에 조건을 붙이고, 다른 자료와 비교할 수 있는 범위를 제한하라는 뜻이다. 값이 변했을 때 실제 위험이 변한 것인지 입력자료와 분류 기준이 바뀐 것인지도 구분해야 한다.

보고서에는 최소한 산출 대상, 기준 기간, 주요 가정, 자료 출처, 민감한 입력과 미포함 조건을 남긴다. 의사결정자는 숫자를 한 줄로 전달하더라도 필요하면 근거로 돌아갈 수 있어야 한다. 요약표가 원자료로 향하는 길을 끊으면 효율이 철저함을 대체한다.

정성 등급도 같은 함정을 피할 수 없다

낮음, 보통, 높음 같은 정성 등급은 계산 부담이 적고 현장 참여자가 이해하기 쉽다. 그렇다고 가정이 사라지는 것은 아니다. “가능성이 높다”는 판단이 하루 노출을 뜻하는지, 연간 작업을 뜻하는지, 기존 통제를 반영한 값인지 사람마다 다르게 이해할 수 있다. 등급 경계가 모호하면 회의가 빨라지는 대신 합의의 내용이 달라진다.

평가자는 점수보다 먼저 판단 근거를 말하게 한다. “높음”이라고 적기 전에 어떤 작업빈도와 노출경로, 방호상태를 봤는지 기록한다. 의견이 갈리면 평균을 내어 끝내지 않고 차이를 만든 가정을 찾는다. 한 사람은 인터록이 늘 작동한다고 봤고 다른 사람은 정비 중 우회를 포함했을 수 있다. 이 차이는 점수보다 중요한 개선정보다.

등급표에는 결정 규칙뿐 아니라 예시와 경계 사례를 둔다. 새로운 공정이나 드문 비정상작업은 기존 예시에 억지로 맞추지 않고 별도 검토 대상으로 표시한다. 정성평가의 장점인 속도를 살리면서 판단의 뜻을 보존하는 방법이다.

현장 적용 예시: 반복 정비의 체크리스트가 짧아질 때

월간 정비시간이 줄어들어 팀은 과거 이상이 없었던 항목을 간단 확인으로 바꾸려 한다. 작업자는 설비에 익숙하고 기존 점검기록도 안정적이다. 체크리스트를 줄이면 핵심 체결과 기능시험에 시간을 더 쓸 수 있다. 반복 항목을 모두 같은 깊이로 보는 것보다 효율적인 선택일 수 있다.

평가가 놓치기 쉬운 것은 조건의 변화다. 부품 공급업체가 바뀌었거나, 세척제가 달라졌거나, 교대 인력이 바뀌었다면 과거 기록의 대표성이 약해진다. 점검항목을 줄였다는 사실보다 “과거와 같은 조건”이라는 가정을 확인해야 한다. 변경이 없다는 문장에도 확인한 대상과 날짜가 필요하다.

개선안은 긴 체크리스트를 되살리는 것만이 아니다. 안정된 항목은 표본 점검으로 바꾸되, 공급품·작업방법·인원·이상징후가 바뀌면 전체 점검을 다시 여는 기준을 둔다. 산업재해 기록과 보고 절차 해설에서 다루는 것처럼 당시 작업상태와 후속조치를 구분해 기록하면, 과거 자료가 현재 조건을 대표하는지 판단하는 데 도움이 된다.

현장 적용 예시: 건설 동시작업을 문서별로 나눌 때

건설현장에서 양중, 설비 설치와 자재 반입을 각 협력업체가 별도 위험성평가한다. 각 문서는 담당 작업의 장비와 인원, 방호조치를 자세히 담는다. 평가 범위를 분리하면 책임과 조치가 분명하고 회의도 짧아진다. 그러나 세 작업의 준비와 마무리 시간이 겹치면 문서 경계 밖에서 통로와 신호체계가 충돌할 수 있다.

각 평가서에 “다른 작업 없음”이 가정으로 들어갔다면 공정 변경 때 그 가정을 다시 확인해야 한다. 계획표상 시작시간만 비교해서는 부족하다. 장비 반입, 아웃트리거 설치, 자재 대기와 철수까지 실제 점유시간을 본다. 신호수와 통로 통제 역할이 동시에 배정되지 않았는지 확인한다.

통합 검토는 모든 세부항목을 다시 평가하는 회의가 아니다. 경계에서 전달되는 사람, 장비, 에너지와 정보를 골라 본다. 작업별 통제는 유지하면서 공용 통로, 동시 작업 중지 기준과 일정 변경 승인자를 연결한다. 문서를 나눈 효율을 지키되 결합 위험만 별도 화면에 올리는 방식이다.

현장 적용 예시: 물류 성수기의 임시 동선을 평가할 때

물류센터가 성수기 동안 임시 적치구역과 보행통로를 만든다. 운영팀은 짧은 기간에만 쓰이므로 기존 위험도 행렬과 표준 도면으로 신속히 평가한다. 차량과 보행자를 분리하고 표지를 설치하면 기본 통제는 마련된다. 문제는 주문량과 지게차 대기행렬, 신규 인력의 이동이 시간대마다 달라진다는 점이다.

정적인 도면은 최대 혼잡 시의 조정을 보여 주지 못한다. 작업자는 통로가 막히면 적치선을 조금 옮기고, 지게차는 대기차량을 피해 회전반경을 바꿀 수 있다. 각각은 흐름을 유지하려는 합리적인 대응이다. 여러 조정이 겹치면 평가 때 분리한 동선이 실제로는 다시 만날 수 있다.

임시 운영 첫날과 최대 물량 시간에 현장 관찰을 예약하고, 통로 이탈과 대기행렬, 시야 방해를 기록한다. 재해 발생일시·피해·방호조치 기록 해설처럼 발생 시점과 당시 방호상태를 나누어 보는 방식은 이상 징후가 어느 시간조건에서 나타났는지 비교하는 데 쓸 수 있다. 관찰 결과가 기준을 넘으면 배치와 처리량 목표를 함께 조정한다.

좋은 평가는 범위를 좁히되 경계를 숨기지 않는다

평가 범위를 무한히 넓히면 아무것도 끝내지 못한다. 대신 경계를 문서 첫머리에 분명히 쓴다. 대상 설비와 작업, 포함한 운전상태, 제외한 작업과 연결 문서를 적는다. 범위 밖의 기능이 대상 작업에 무엇을 제공하거나 받아 가는지도 표시한다. 전기, 압축공기, 자재, 작업허가, 인계정보처럼 경계를 넘는 흐름이 우선이다.

경계에는 소유자가 필요하다. 협력업체 평가와 원청 평가가 만나는 지점, 설계 검토와 시공 작업이 만나는 지점에서 누가 전체 연결을 확인하는지 정한다. 각 문서가 완전하더라도 서로 다른 가정을 쓰면 틈이 생긴다. 경계 검토자는 두 문서의 위험도 점수를 합치는 사람이 아니라 가정과 인터페이스가 맞는지 보는 사람이다.

변경이 생기면 전체 문서를 처음부터 쓰지 않아도 된다. 변경된 흐름과 가정, 영향을 받는 통제만 찾아 다시 연다. 이런 구조가 있으면 평가의 효율을 유지하면서 철저함이 필요한 부분에 집중할 수 있다.

정상 작업을 관찰해야 평가서의 빈틈이 보인다

사고와 이상만 자료로 쓰면 잘못된 결과와 연결된 행동만 눈에 들어온다. 정상 작업에서는 계획과 다른 조정이 어떻게 성공을 만들었는지 볼 수 있다. 작업자가 확인 순서를 바꾼 이유, 동료에게 도움을 요청한 시점, 설비 신호가 애매할 때 추가로 본 단서를 기록하면 평가서가 놓친 조건을 찾을 수 있다.

관찰은 위반을 적발하는 순찰과 다르게 설계한다. 평가서의 작업단계를 들고 현장을 따라가되, 문서와 달라진 지점에서 바로 잘못이라고 판단하지 않는다. 당시 요구와 자원, 시간, 정보가 무엇이었는지 묻는다. 조정이 위험을 키운 경우와 오히려 방호를 보완한 경우를 함께 남긴다.

관찰 결과는 모든 항목을 늘리는 데 쓰지 않는다. 반복해서 나타나는 조정, 여러 사람이 서로의 확인을 기대하는 지점, 조건이 바뀌면 의미가 달라지는 통제를 골라 평가서에 반영한다. 정상 작업의 자료는 미래 위험을 추정하는 데 필요한 실제 성과의 표본이다.

질문·반례·미확인 사항을 결론과 따로 기록한다

평가 회의는 결론을 요구한다. 위험도를 정하고 조치 담당자와 기한을 배정해야 한다. 이 과정에서 답하지 못한 질문이 사라지기 쉽다. “야간 교대에서도 같은가”, “방호장치 점검 중에는 누가 감시하는가”, “두 협력업체 일정이 겹치면 어떻게 되는가” 같은 질문은 결론과 별도 목록으로 남겨야 한다.

반례는 모델을 흔드는 자료다. 저위험으로 분류했지만 현장 작업자가 반복해서 중지하는 작업, 높은 점수를 받았지만 강한 회복수단으로 안정적으로 수행되는 작업이 있다면 이유를 확인한다. 평가기준을 즉시 뒤집기보다 어떤 가정이 실제와 달랐는지 찾는다. 미확인 사항에는 확인 방법, 담당자와 기한을 붙인다.

질문 목록이 길어지면 결과가 중대하거나 판단을 바꿀 수 있는 항목부터 처리한다. 나머지는 다음 정기 검토나 현장 관찰에 배치한다. 답을 모르는 사실을 숨기지 않는 것이 무조건 더 많은 분석보다 철저할 수 있다.

관리감독자는 점수보다 판단이 만들어진 과정을 본다

관리감독자는 위험도 점수의 높고 낮음만 승인하지 않는다. 누가 참여했고 어떤 작업상태를 봤는지 확인한다. 의견이 갈린 항목은 점수를 평균내기 전에 서로 다른 가정을 찾는다. 자료가 오래됐거나 유사 설비에서 가져왔다면 현재 적용 이유를 적는다.

조치가 점수를 낮췄다는 문장도 따져 본다. 방호장치를 설치했는지뿐 아니라 실제 운전조건에서 사용할 수 있는지, 점검과 고장 때 대체 통제가 있는지 확인한다. 교육이나 주의 문구에만 의존한 조치는 시간 압박과 인력변화에도 유지되는지 본다. 조치가 작업부담을 다른 단계로 옮기지는 않았는지도 관찰한다.

영국 HSE의 작업장 위험 관리 안내는 유해요인을 찾고, 사람이 피해를 입을 가능성과 심각성을 판단한 뒤, 제거하거나 통제하는 흐름을 제시하면서 위험성평가가 전체 위험관리 과정의 한 부분이라고 설명한다. 평가서를 완성하는 데서 끝내지 않고 조치와 실제 효과 확인까지 이어가야 한다.

위험성평가를 다시 여는 조건을 미리 정한다

정기 재검토일만으로는 변화 속도를 따라가기 어렵다. 설비와 자재, 작업방법, 인원, 교대, 생산목표, 도급범위와 주변 공정이 바뀌면 기존 가정이 약해질 수 있다. 사고가 나기 전에도 반복되는 이상, 작업중지, 임시조치와 우회가 늘면 평가를 다시 열어야 한다. 재검토 신호를 미리 정하면 담당자의 감각에만 의존하지 않는다.

모든 변화가 전체 재평가를 뜻하지는 않는다. 먼저 어떤 범위와 가정이 영향을 받는지 본다. 변경된 인터페이스와 통제, 새로 생긴 동시작업을 골라 검토한다. 평가를 다시 연 이유와 닫은 근거, 남은 불확실성의 관리자를 함께 기록한다. 필요한 부분만 깊게 보는 것은 부실함이 아니라 목적 있는 효율이다.

현장 점검표: 평가의 ETTO를 보이게 만드는 질문

이 점검표를 모든 작업에 같은 깊이로 적용하면 서식 부담만 늘 수 있다. 결과가 중대하고, 변화가 많고, 여러 기능이 연결되며, 기존 자료가 약한 작업부터 사용한다. 안정된 반복작업은 대표 표본과 변경 신호를 중심으로 본다. 질문에 답하지 못했다고 즉시 작업을 금지하는 규칙으로 쓰기보다, 판단을 바꿀 미확인 사항인지 구분해 필요한 통제를 정한다.

평가회의에서 바꿀 한 가지 순서

다음 위험성평가 회의에서는 위험도 점수를 정하기 전에 한 장을 따로 만든다. 왼쪽에는 포함한 작업과 상태, 오른쪽에는 제외한 항목과 연결 문서를 쓴다. 가운데에는 결론을 크게 바꿀 가정을 놓는다. 숙련자 배치, 정상 방호기능, 작업시간, 다른 공정과의 분리처럼 당연하게 전제한 조건이 대상이다.

각 가정 옆에 “무엇을 보면 틀렸음을 알 수 있는가”를 적는다. 현장 관찰, 운전기록, 변경 통보와 작업자 피드백 가운데 가장 빠른 신호를 고르고 담당자를 정한다. 신호가 들어오면 전체 문서를 처음부터 작성하지 않고 영향을 받는 범위와 조치만 다시 연다.

마지막에는 가장 높은 점수만 보지 않는다. 같은 점수 가운데 근거가 약하고 변화가 빠르며 기능 간 연결이 많은 항목을 하나 고른다. 그곳에 추가 관찰이나 독립 검토 시간을 배치한다. 평가를 빨리 끝내는 능력과 잘못된 가정을 빨리 발견하는 능력을 함께 설계하는 것이 위험성평가 ETTO를 다루는 실무 기준이다.

참고자료

1. Erik Hollnagel, The ETTO Principle: Efficiency-Thoroughness Trade-Off — Why Things That Go Right Sometimes Go Wrong, CRC Press, 2009. 위험성평가, 인적신뢰도분석, 임상시험의 시간 선택, 정량화와 단기·장기 효율의 상충에 관한 기준 자료.
2. UK Health and Safety Executive, Managing risks and risk assessment at work. 유해요인 파악, 가능성과 심각성 판단, 제거·통제 및 전체 위험관리 과정 안에서의 위험성평가를 설명하는 공식 안내.
3. UK Health and Safety Executive, Introduction to human factors. 과업, 개인과 조직의 조건을 함께 보며 인적요인을 위험 통제체계 안에서 다루는 공식 안내.